XFA als Identity Provider für Proton Pass und Proton VPN konfigurieren Beta

Anders als in den anderen Identity-Provider-Anleitungen ist XFA hier der Identity Provider: Proton übergibt die Anmeldung an XFA, das Benutzer mit einem Passkey anmeldet und ihr Gerät prüft.

Hinweis: Diese Anleitung setzt voraus, dass Ihre Organisation ein XFA-Konto hat, dass Sie dort Administrator in XFA sind und dass Sie Administrator einer Proton for Business-Organisation mit einem Plan mit Single Sign-on sind (Proton Pass Professional, Proton VPN Professional oder Enterprise, oder VPN and Pass Professional). Haben Sie noch kein XFA-Konto, können Sie unter https://dashboard.xfa.tech/signup eines anlegen.

Proton als Identity Provider ist in der Beta und bleibt ausgeschaltet, bis XFA es für Ihre Organisation freischaltet. Wenn Sie unter Identitätsanbieter die Schaltfläche Proton verbinden und auf der Seite Enforcement die Kachel Proton nicht sehen, hat Ihre Organisation es noch nicht: Wenden Sie sich an support@xfa.tech, und wir schalten es für Sie frei.

So funktioniert es

Meldet sich ein Benutzer bei Proton Pass oder Proton VPN mit Sign in with SSO an, leitet Proton ihn an XFA weiter. XFA authentifiziert ihn mit einem Passkey auf einem Gerät, das er bei XFA hinterlegt hat (Built-in passkey), prüft den Sicherheitsstatus des Geräts und gibt eine signierte SAML-Assertion an Proton zurück. Proton vertraut dieser Assertion und lässt den Benutzer herein.

Da XFA die Anmeldung übernimmt, gibt der Benutzer nie ein Proton-Passwort ein. Sein erstes Gerät wird über einen vom Administrator eingerichteten Wiederherstellungsschritt eingerichtet (unten). Danach ist die Anmeldung ein einzelnes Tippen auf den Passkey eines vertrauenswürdigen Geräts.

Single Sign-on in Proton gilt pro verifizierter Domain. Proton Pass und Proton VPN teilen sich die Single-Sign-on-Konfiguration der Organisation, und diese Anleitung behandelt diese beiden.

Eine Proton-Verbindung im XFA-Dashboard anlegen

Melden Sie sich im XFA-Dashboard an, öffnen Sie Identitätsanbieter in der Seitenleiste und klicken Sie auf Proton verbinden. (Sie können auch auf der Seite Enforcement auf New klicken und die Kachel Proton wählen.) XFA legt die Verbindung an und öffnet ihre geführte Einrichtung: vier Schritte, die Sie in beliebiger Reihenfolge zwischen XFA und Ihrem Proton-Adminpanel abarbeiten.

Legen Sie unter Grundlagen fest:

einen Namen für die Verbindung und die Richtlinie, deren Gerätechecks bei der Anmeldung gelten;
Erlaubte E-Mail-Domains: die Domain(s), die Sie in Proton zu Single Sign-on hinzufügen (zum Beispiel example.com). XFA authentifiziert und bestätigt nur E-Mail-Adressen in diesen Domains oder in den E-Mail-Domains Ihrer Organisation; alles andere wird abgelehnt. Stehen weder hier noch in den E-Mail-Domains der Organisation Domains, kann sich niemand anmelden (fail-closed); stellen Sie es also vor dem Produktivstart ein.

Schritt 1, XFA als Identity Provider in Proton hinzufügen, zeigt die Werte, die Proton braucht, um XFA zu vertrauen:

Metadaten-URL: die SAML-Metadaten von XFA für diese Verbindung. Proton importiert sie in einem Schritt.
Entity ID (Proton nennt sie auch Issuer), Anmelde-URL und ein Zertifikat zum Herunterladen, falls Proton stattdessen nach Textfeldern fragt.

Lassen Sie den Tab offen; Sie kommen darauf zurück, sobald Proton seine eigenen Werte anzeigt.

Eine Identity-Provider-Verbindung pro Organisation

XFA unterstützt eine Identity-Provider-Verbindung pro Organisation. Haben Sie bereits Google Workspace oder einen generischen SAML Identity Provider verbunden, entfernen Sie diese Verbindung zuerst; bis dahin ist die Kachel Proton deaktiviert.

Klicken Sie, bevor Sie weitermachen, auf Speichern und später fortfahren, um die Verbindung zu speichern. Onboarding-Links und Anmeldungen verwenden die gespeicherten Werte unter Erlaubte E-Mail-Domains und die gespeicherte Richtlinie, nicht das, was auf der Seite noch ungespeichert ist.

Benutzer für ihr erstes Gerät vorbereiten

Da XFA jetzt die Anmeldung übernimmt, hat ein ganz neues Gerät noch keinen Passkey, und sobald Single Sign-on für eine Domain eingeschaltet ist, erreichen ihre Mitglieder Proton nur noch über XFA. Deshalb richtet ein Administrator das erste Gerät ein, bevor Sie Single Sign-on in Proton einschalten.

Hinterlegen Sie auf der Seite Personen (unter Identität) für jeden Benutzer, der sich über XFA anmelden wird, eine zweite E-Mail-Adresse: eine private oder alternative Adresse, die er erreichen kann. Sie können ihm dann an diese Adresse einen Onboarding-Link schicken, mit dem er seinen Passkey registriert, ohne jemals ein Passwort einzugeben. Der Link ist nur einmal verwendbar und 7 Tage gültig.

Um Benutzer hinzuzufügen, klicken Sie auf Neuer Benutzer. Möchten Sie keinen Link per E-Mail verschicken, können Sie stattdessen ein einmaliges Onboarding-Passwort für einen Benutzer erzeugen und es ihm über einen Kanal Ihrer Wahl übergeben.

Personen, die Proton Pass oder Proton VPN bereits nutzen, behalten ihre Daten. Sobald Single Sign-on für ihre Domain eingeschaltet ist, melden sie sich mit Sign in with SSO an.

Onboarding-Links senden

Um Links später zu senden, wählen Sie die Benutzer auf der Seite Personen aus und klicken Sie auf Onboarding-Link senden. XFA stellt die E-Mails in die Warteschlange und versendet sie in den nächsten Minuten; die Seite Personen zeigt dann Link gesendet am mit dem Datum.

XFA überspringt folgende Benutzer und nennt Ihnen den Grund:

Benutzer, die bereits registriert sind,
Benutzer ohne zweite E-Mail-Adresse,
Benutzer, die vor weniger als 7 Tagen einen Link erhalten haben. Klicken Sie auf Trotzdem erneut senden, um einen neuen zu senden; er ersetzt den früheren Link.

Der Onboarding-Status jedes Benutzers steht auf der Seite Personen: Bereitgestellt, Link gesendet am, Registriert oder Registrierung unbekannt, wenn XFA das nicht prüfen konnte.

Single Sign-on in Proton konfigurieren

Gehen Sie in Ihrem Proton-Adminpanel (dem Adminpanel von Proton Pass oder account.protonvpn.com für Proton VPN for Business) zu Single sign-on > SAML authentication > Configure SAML:

Geben Sie Ihre Firmendomain ein und klicken Sie auf Add domain.
Hinterlegen Sie den von Proton angezeigten DNS-TXT-Eintrag bei Ihrem Domainanbieter und klicken Sie auf Continue. Proton verifiziert die Domain, bevor es den Identity Provider annimmt; ein neuer DNS-Eintrag braucht manchmal eine Weile, bis er verteilt ist.
Importieren Sie die Identity-Provider-Metadaten per URL mit der Metadaten-URL aus XFA und klicken Sie auf Continue. Fragt Proton stattdessen nach Text fields, tragen Sie die Entity ID von XFA als Entity ID und die Anmelde-URL als Single-Sign-on-URL ein und laden Sie das XFA-Zertifikat hoch oder fügen Sie es ein.
Proton zeigt nun seine Assertion Consumer Service (ACS) URL und Issuer ID. Klicken Sie auf Done, dann auf See details, um die Konfiguration zu prüfen.

Die Werte von Proton sind für jede Organisation gleich:

Issuer ID: https://sso.proton.me/sp
Assertion Consumer Service (ACS) URL: https://sso.proton.me/auth/saml

XFA sendet die E-Mail-Adresse der Person als NameID, im Format emailAddress, das Proton anfordert. Proton ordnet sie dem Mitglied mit dieser Adresse zu.

Eine Organisation kann bis zu fünf Domains konfigurieren. Jede wird in Proton einzeln konfiguriert und muss auf denselben Identity Provider zeigen; tragen Sie alle auch unter Erlaubte E-Mail-Domains in XFA ein.

Die Integration im XFA-Dashboard abschließen

Zurück im XFA-Dashboard:

Schritt 2, Werte von Proton bestätigen: XFA hat die Issuer ID und die ACS URL von Proton bereits eingetragen, da sie sich nie ändern. Vergleichen Sie sie mit dem, was Proton unter See details anzeigt, und klicken Sie auf Als erledigt markieren. Wurde ein Wert einmal bearbeitet und weicht ab, setzt Werte von Proton verwenden ihn zurück.
Schritt 3, Single Sign-on für Ihre Personen einschalten: Prüfen Sie, dass Ihre Domain in Proton als verifiziert angezeigt wird, dass jede Domain unter Erlaubte E-Mail-Domains steht und dass jede Person eine XFA-Identität hat (siehe Benutzer für ihr erstes Gerät vorbereiten). Klicken Sie auf Als erledigt markieren, sobald das erledigt ist.
Schritt 4, Prüfen und testen: Klicken Sie auf Meine Eingaben prüfen, testen Sie dann eine Anmeldung mit einem Mitglied Ihrer Domain und haken Sie Ich habe es getestet und es funktioniert ab.

Klicken Sie auf Einrichtung abschließen, um die Verbindung zu speichern.

Signierte Anfragen

Proton signiert die Anmeldeanfragen, die es an XFA sendet. Standardmäßig nimmt XFA sie an, ohne die Signatur zu prüfen. Soll XFA sie prüfen, öffnen Sie die Verbindung, schalten Sie Signierte Anfragen erforderlich ein und fügen Sie das Signaturzertifikat von Proton unter Signaturzertifikat des Service Providers ein. Das Zertifikat steht in den SAML-Metadaten von Proton unter https://sso.proton.me/saml/metadata; Proton kann es erneuern, und die Anmeldung funktioniert erst wieder, wenn Sie das neue Zertifikat einfügen.

Erstes Gerät: Der Benutzer öffnet den Onboarding-Link aus seiner zweiten E-Mail-Adresse (oder gibt das Onboarding-Passwort ein, das Sie ihm gegeben haben) und registriert einen Passkey auf seinem Gerät. XFA prüft dabei die Gerätesicherheit, und dieser Passkey ist von da an seine Anmeldung bei Proton.
Jedes weitere Gerät: In einer Proton Pass- oder Proton VPN-App oder unter account.proton.me klickt der Benutzer auf Sign in with SSO und gibt seine E-Mail-Adresse ein. Er tippt auf seinen Passkey, ohne Passwort und ohne weitere Eingabe, und XFA bestätigt das neue Gerät auf einem Gerät, das er bereits hinterlegt hat, bevor die Anmeldung weitergeht.

Und was ist mit dem zweiten Faktor?

XFA ersetzt die Passwortanmeldung von Proton vollständig, es gibt also keinen separaten zweiten Faktor, den Sie verlieren könnten: Der Passkey auf einem Gerät, dem Sie in XFA ausdrücklich vertrauen, ist der starke Faktor. Das ist XFAs Built-in passkey. Mehr dazu in der Dokumentation zu Built-in passkey.